分享此页面

# 步骤 1: 将 ALM 配置为 SP

先决条件: 步骤 0: 准备。

此步骤是在 SSO 配置工具中将 ALM 配置为 SP。

在本主题中︰

备注: 完成此步骤后, 您应当能够在 ALM 存储库中找到 SP 配置文件: `{ALM 存储库}\sa\DomsInfo\osp\basic.properties`。

## 提供 ALM 服务器常规信息

1. 登录 ALM“站点管理”。

2. 单击“工具”>“SSO 配置”以打开 SSO 配置工具。

3. 单击“常规设置”>“属性”, 然后提供以下信息。

   字段 (* 为必填项) | 描述
   --- | ---
   *OAuth 客户端密钥 | ALM 服务提供程序 (SP) 用于生成访问令牌的密钥
   *启用本地身份验证 | 此选项控制当 ALM 在 SSO 模式下运行时, 配置为 ALM 本地用户的用户是否可以本地登录 ALM。 否: 当 ALM 在 SSO 模式下运行时, 不支持本地身份验证。 当 ALM 在 SSO 模式下运行时, 只有具有真实 IdP ID 的用户才能访问 ALM。 是: 当 ALM 在 SSO 模式下运行时, 它还支持本地身份验证。 当 ALM 在 SSO 模式下运行时, 除了具有真实 IdP ID 的用户之外, 其 IdP ID 设置为“本地”的用户也可以访问 ALM。 有关配置用户的 IdP ID 和标识密钥的详细信息, 请参阅管理 ALM 用户。 “常规设置”>“我的配置文件”选项卡为您提供了配置您的 IdP ID 和标识密钥的快捷方式。
   *通信 FQDN | ALM 服务器 FQDN (完全限定域名) 如果在 ALM 服务器的前面使用了 Web 服务器/反向代理, 则它应当是 Web 服务器 FQDN。
   *通信端口 | 如果未使用反向代理, 则它是 ALM 服务器的端口号。 如果使用了反向代理, 则它是 HTTP 请求标头中使用的端口号。您可以在服务器日志中找到端口号。有关如何查看 SSO 日志的详细信息, 请参阅常见问题。
   *启用安全通信 | 是: 如果 HTTP 请求标头中的模式值以 "https" 开头, 则选择“是”。 否: 如果 HTTP 请求标头中的模式值以 "http" 开头, 则选择“否”。
   使用反向代理 | 是否使用反向代理。如果是, 还应当指定反向代理端口。
   反向代理端口 | 反向代理的端口号
   启用安全反向代理 | 是: 如果反向代理启用安全通信, 则选择“是”。 否: 如果反向代理未启用安全通信, 请选择“否”。

4. 单击“保存”以保存设置。

返回页首

## 上载 SAML 证书

SAML 证书用于加密和解密 ALM 和 IdP 之间的 SAML 请求和响应。

有关如何为 ALM 创建 SAML 证书的详细信息, 请参阅常见问题。

单击“常规设置”>“SSO 证书”以提供证书。

您可以通过上载密钥库文件或手动输入证书信息来提供证书。

通过上载密钥库文件来提供证书 | 在“证书提交类型”字段中, 选择“上载密钥库文件”。 在“选择要上载的文件”字段中, 选择包含证书的密钥库文件。 确保密钥库文件中的证书同时包含私钥和公钥。 ALM 支持的密钥库类型为: JKS、JCEKS 和 PKCS12。这要求您要上载的密钥库文件应使用以下扩展名之一: 对于 JKS 密钥库类型: `.jks` 或 `.ks` 对于 JCEKS 密钥库类型: `.jce` 对于 PKCS12 密钥库类型: `.p12` 或 `.pfx` 输入密钥库和证书密码。 输入密钥库文件中使用的证书的别名。 单击“提交”。
通过手动输入证书信息来提供证书 | 在“证书提交类型”字段中, 选择“手动输入”。 输入密钥库和证书密码、证书链和私钥。 单击“提交”。

### 管理证书

上载证书后, 您可以查看其详细信息并上载其他证书。

“SSO 证书”选项卡显示证书的别名和到期日期。要查看更多详细信息, 请单击“查看证书”链接。

要上载其他证书, 请执行以下操作:

1. 单击“SSO 证书”选项卡中的“删除证书”链接以删除当前证书。

   您还可以从目录 `{ALM 部署目录}\ALM\repository\sa\DomsInfo\osp\basic.pfx` 删除当前证书。

2. 刷新当前页面。
3. 上载新证书。
4. 重新启动 ALM 服务器。如果 ALM 位于群集环境中, 请重新启动每个节点。
5. 如果您已与 IdP 共享了 ALM SP 元数据, 则应获取更新的 SP 元数据并再次与 IdP 共享。请参见步骤 2: 配置默认 IdP。

返回页首

## 设置您的配置文件

“常规设置”>“我的配置文件”选项卡为您提供了指定您的 IdP 名称和标识密钥的快捷方式。它们用于映射 IdP 用户。

要设置您的配置文件, 请填写以下字段, 然后单击“保存”。

字段 | 描述
--- | ---
IdP | 作为站点管理员, 如果您要启用 SSO, 请执行以下任一操作: 如果您已经映射到 IdP 用户, 则将您的 IdP 设置为映射的 IdP 用户所属的 IdP 名称。 如果尚未映射到 IdP 用户, 请选择“本地”并启用本地身份验证。 否则, 启用 SSO 后, 您将无法访问 ALM, 并且可能没有用户可以访问 ALM。有关详细信息, 请参见启用 SSO 而不验证 IdP。 以下是可用选项的说明: (空): 启用 SSO 之前 ALM 中已存在的用户具有空的 IdP 和空的标识密钥。启用 SSO 后, 此类用户将无法访问 ALM。在 SSO 配置期间, 请勿将您的 IdP 设置为“空”。 本地: IdP 设置为“本地”的用户是本地 ALM 用户。仅当启用本地身份验证时, 此类用户才能在启用 SSO 之后本地访问 ALM。有关本地身份验证设置, 请参阅 *启用本地身份验证。 <真实 IdP ID>: 映射到 IdP 用户的用户具有真实 IdP。
标识密钥 | 当用户的 IdP 配置为“本地”时, 标识密钥可以为空。当用户的 IdP 配置为真实 IdP 时, 应将标识密钥设置为标识用户的唯一值。

返回页首

## 常见问题

问: 如何为 ALM 创建 SAML 证书?

答: 通常, 建议您从授权组织获得 SAML 证书, 以便获得更安全的证书。但是, 如果您的组织不需要很高的安全策略, 则您可以自己创建 SAML 证书。

要在 Windows、Mac 或 Linux 上使用 keytool 命令生成自签名 SSL 证书, 请执行以下操作:

1. 打开命令提示符或终端并运行以下命令:

       keytool-genkey-keyalgRSA -alias <别名> -keystoreselfsigned.jks-validity <天数> -keysize2048

   其中 `<别名>` 表示证书的名称；`<天数>` 表示证书的有效天数。

2. 输入密钥库文件的密码。请记下该密码, 因为在配置服务器时需要它。

3. 当提示您输入名字和姓氏时, 输入服务器的域名。例如, myserver 或 myserver.mycompany.com。

4. 输入其他详细信息, 例如组织单位、组织、城市、省/市/自治区和国家/地区。

5. 确认输入的信息正确无误。

6. 当提示您输入 <tomcat> 的“Enter 键”密码时, 按 `Enter` 以使用与密钥库文件密码相同的密码。

7. 运行以下命令以验证密钥库文件的内容:

       keytool-list -v -keystoreselfsigned.jks

8. 出现提示时, 输入密钥库文件密码。

您生成的证书命名为 `selfsigned.jks`。请勿修改其扩展名。验证“所有者”和“颁发者”是否相同。将别名、密钥密码和密钥库文件密码保存在安全的地方, 因为您需要在 SSO 配置工具中使用它们来上载或删除证书。

问: 如何获取 SSO 日志?

答:

1. 在 ALM 存储库中打开 SP 配置文件: `{ALM 存储库}\sa\DomsInfo\osp\basic.properties`。
2. 设置 "logging.level=ALL"。

3. 重新启动 ALM, 然后再次登录 ALM。

4. 在服务器日志中查看 `java.io.tmpdir` 的目录。该目录中的所有 `osp-*` 文件都是 SSO 日志文件。

返回页首

接下来的步骤:

- 步骤 2: 配置默认 IdP

https://admhelp.microfocus.com ALM 8942
改进搜索结果的提示... ALM 帮助中心 ALM 帮助中心 ALM 帮助 16.00 全部查看本地帮助中心查看联机帮助中心后退在浏览器历史记录中后退前进在浏览器历史记录中前进删除突出显示的搜索项下一个主题转到下一个主题上一个主题转到上一个主题打印当前主题版本: